- De quem é realmente esta mensagem? Toque ou passe o cursor sobre o nome do remetente para exibir o endereço. Fique atento a domínios semelhantes (uma palavra a mais, uma letra trocada, um .co em vez de .com), um endereço gratuito que alega ser de uma empresa ou o nome de um colega em um endereço desconhecido.
- O que isso significa? O phishing quase sempre solicita uma das cinco coisas a seguir: uma senha ou login, dinheiro ou um cartão-presente, uma alteração nos dados bancários, um anexo para ser aberto ou urgência e sigilo (“hoje”, “não conte a ninguém”, “sua conta será encerrada”).
- Para onde levam esses links? Em um computador, passe o cursor sobre um link e leia o endereço no canto da janela. Em um celular, mantenha o link pressionado para visualizá-lo. Um aviso da Microsoft que leva a um domínio que você nunca viu, ou um link encurtado, é o indício revelador.
- O senhor esperava por isso? Uma nota fiscal de um fornecedor que o senhor não utiliza, uma mensagem de voz que o senhor nunca recebe por e-mail, um documento compartilhado por alguém que não costuma compartilhar documentos, uma entrega que o senhor não solicitou.
- Isso foge a um padrão normal? Um fornecedor que altera dados bancários por e-mail, o chefe solicitando algo incomum e urgente, a Microsoft ou o Google pedindo que você verifique sua conta por meio de um link. Empresas e chefes de verdade não agem dessa maneira.
Como identificar se um e-mail é uma tentativa de phishing e o que fazer nesse caso
Uma verificação de 30 segundos que funciona no Outlook e no Gmail, os golpes que estão circulando no momento, a maneira de denunciar uma mensagem com um clique e o que fazer na primeira hora caso você já tenha clicado.
Leitura de 7 minutosAtualizado
A resposta curta
Preste atenção a três aspectos: quem realmente enviou a mensagem (toque no nome para ver o endereço), o que está sendo solicitado (urgência, dinheiro, uma senha, uma alteração nos dados bancários) e para onde os links levam (passe o mouse sobre o link no computador ou mantenha pressionado no celular). Se algum desses três aspectos parecer suspeito, não clique nem responda. Denuncie a mensagem usando o botão “Denunciar” no Outlook ou a opção “Denunciar phishing” no Gmail e, em seguida, verifique por outro meio, como uma ligação para um número que você já tenha. Se você já clicou, altere sua senha imediatamente e informe a equipe de TI dentro de uma hora. Ninguém irá culpá-lo; o que importa é a rapidez.
A verificação de 30 segundos
Falsificações que estão circulando
| Parece que | O que isso realmente é | O indício |
|---|---|---|
| Sua senha expira hoje, ou uma nova mensagem de voz ou documento compartilhado | Uma página falsa de login do Microsoft 365 ou do Google que rouba sua senha e seu código de aprovação | O link não leva ao site microsoft.com nem ao google.com, e avisos oficiais nunca solicitam senha por meio de um link |
| Fatura de um fornecedor com novos dados bancários | Compromisso de e-mail corporativo, frequentemente proveniente da caixa de correio real do fornecedor, porém sequestrada | Qualquer alteração nos dados de pagamento, por mais educada que seja. Entre em contato com o fornecedor pelo número que o senhor já possui |
| Um aviso sobre pacote, taxa alfandegária ou pedágio | Uma pequena página de pagamento que coleta os dados do seu cartão | O senhor não estava esperando nada, e o link não pertence ao domínio da operadora |
| Um PDF com um código QR para escanear | Um link oculto onde os filtros não conseguem lê-lo | Ninguém envia um código QR quando um link já seria suficiente |
| RH ou folha de pagamento: documento salarial atualizado, inscrição em benefícios | Uma página de login ou um anexo com uma carga maliciosa | Enviado fora do canal habitual de RH, com urgência |
| Uma mensagem de texto ou pelo WhatsApp do CEO solicitando um favor rápido | Um golpe envolvendo cartão-presente ou transferência bancária | Um novo número, e o chefe nunca lhe envia mensagens sobre isso |
| Uma enxurrada de notificações do Authenticator que o senhor não iniciou | Alguém está com sua senha e espera que você toque em “Aprovar” | Rejeite todas as solicitações, altere sua senha e informe o departamento de TI ainda hoje |
O que fazer com um e-mail suspeito
- Não clique, não responda nem encaminhe essa mensagem para colegas. O encaminiamento distribui o risco e elimina as evidências de que a TI necessita.
- Denuncie a partir do Outlook. Selecione a mensagem, escolha “Denunciar” na barra de ferramentas e, em seguida, “Denunciar phishing”. O mesmo botão está disponível no Outlook na web, no novo Outlook para Windows, no Outlook para Mac e nos aplicativos para iPhone e Android, desde que sua empresa tenha ativado essa função. A mensagem será removida e uma cópia será enviada à sua equipe de TI e à Microsoft.
- Denuncie a partir do Gmail. Abra a mensagem, clique nos três pontos ao lado de “Responder” e selecione “Denunciar phishing”. No aplicativo do Gmail, use os três pontos no canto superior direito da mensagem. O Google recebe uma cópia e o administrador do seu Workspace poderá visualizar a denúncia.
- Verifique por outro meio. Caso a mensagem afirme ser de um fornecedor, de um colega ou do seu banco, ligue para um número que você já tenha ou dirija-se pessoalmente ao local. Nunca utilize o número de telefone ou o endereço de resposta contidos na mensagem.
- Caso tenha clicado ou digitado uma senha, tome providências dentro de uma hora. Altere sua senha a partir de um dispositivo em que confie, não aprove nenhum pedido do Authenticator que você não tenha iniciado e informe imediatamente a equipe de TI. Caso tenha aberto um anexo, desconecte-se da rede Wi-Fi e entre em contato. Se houver dinheiro envolvido, entre em contato com o fornecedor e com seu banco no mesmo dia; os prazos para ação são contados em horas.
Pessoas que comunicam rapidamente são a melhor defesa que uma pequena empresa possui. Uma boa equipe de TI agradecerá por um falso alarme e nunca fará com que o senhor se sinta ridículo por um alarme real.
Para o responsável pela área de TI
Cinco configurações são suficientes para realizar a maior parte do trabalho. Nenhuma delas acarreta custo adicional nos planos do Microsoft 365Business Premium ou do Google Workspace:
| Configuração | Onde | O que ele faz |
|---|---|---|
| Ative o botão “Relatório” e uma caixa de correio para relatórios | Portal do Microsoft Defender, Configurações, E-mail e colaboração, Configurações relatadas pelo usuário | Geração de relatórios com um clique a partir de qualquer e-Outlook, com cópias para o senhor e para a Microsoft |
| DMARC: configuração de rejeição para o seu próprio domínio | Seu DNS, após a implementação do SPF e do DKIM | Impede que invasores enviem e-mails que pareçam ter sido enviados pela sua empresa |
| Marcação de remetentes externos | Marcação externa no Exchange Online; o Gmail exibe banners externos por padrão | Uma identificação visível em todas as mensagens provenientes de fora da empresa |
| Verificação de links e anexos | Defender for Office 365: Links Seguros e Anexos Seguros; verificação aprimorada pré-entrega do Gmail | Reescreve e verifica os links no momento do clique, executa os anexos primeiro |
| Bloqueie o encaminhamento automático para endereços externos | Política de spam de saída do Exchange Online; configurações de roteamento do Gmail | Elimina a forma preferida dos invasores de acessar uma caixa de correio sem serem percebidos |
Em seguida, realize uma breve simulação de phishing duas vezes por ano, com uma reunião de avaliação de dez minutos, e exija a autenticação multifatorial com correspondência de números, de modo que uma senha roubada, por si só, seja inútil.
Perguntas frequentes
O que nos perguntam
Respostas curtas para o que fundadores e responsáveis financeiros mais nos perguntam.
Faça outra perguntaSim. Se a conta tiver sido comprometida, a mensagem será enviada a partir da caixa de correio real e passará por todas as verificações técnicas. O conteúdo é o que revela a fraude: uma solicitação incomum, urgência, um link para fazer login. Entre em contato com a pessoa.
Utilize, em vez disso, o botão “Denunciar”. Ele envia à equipe de TI a mensagem original com os cabeçalhos ocultos intactos e a remove da sua caixa de entrada. O encaminhamento perde essas evidências e pode divulgar o link.
Lixo eletrônico é publicidade indesejada; denunciá-la move a mensagem para a pasta de Lixo Eletrônico e bloqueia o remetente. Phishing é uma tentativa de roubo; denunciá-lo exclui a mensagem e envia uma cópia para sua equipe de segurança e para a Microsoft ou o Google.
Normalmente, mas informe o departamento de TI de qualquer maneira. Algumas páginas tentam instalar algo ao clicar nelas, e o departamento de TI pode verificar o dispositivo e os registros de login em questão de minutos.
Não. Notificações verdadeiras solicitam que você faça login no local habitual, nunca por meio de um link que peça sua senha e código de aprovação.
Nada de ruim. Sua equipe de TI analisa o relatório, classifica-o como não sendo uma ameaça, e o remetente não é afetado. Reportar em excesso é muito melhor do que reportar de forma insuficiente.
Como a SF3 Technologies ajuda
Ativamos relatórios, verificação de links e anexos e marcação externa no seu Microsoft 365 ou Google Workspace, protegemos seu próprio domínio com DMARC para que não possa ser falsificado, treinamos sua equipe com simulações curtas e assumimos o tratamento de todas as mensagens relatadas. Tudo isso é executado dentro do seu próprio locatário, com contas de administrador dedicadas.
Os nomes dos botões no Outlook e no Gmail podem sofrer alterações de tempos em tempos. As etapas foram verificadas em outubro de 2026 com base na documentação da Microsoft e do Google.